Cet article explique le concept de « DNS menteur », terme souvent
entendu, par exemple dans le contexte de la censure de
l'Internet.
Si vous lisez souvent ce blog, vous n'apprendrez rien de nouveau
ici. Le but de cet article est juste d'avoir une référence stable
pour expliquer ce terme de « DNS menteur », sinon pour un large
public, du moins pour une population plus large que les seuls
experts DNS.
Donc, pour commencer, tout petit rappel sur le DNS (Domain Name
System) : le DNS permet de distribuer de l'information aux
machines connectées à l'Internet. (Les humain·es normaux ne
regardent en général pas cette information, qui est purement
technique.) La clé d'accès à cette information est un nom
de domaine comme www.bortzmeyer.org
ou phy.cam.ac.uk. Le point important est que
quasiment toute interaction sur l'Internet
commence par une utilisation du DNS, que votre machine fait pour
vous. Si le DNS est en panne, c'est quasiment comme si vous n'avez
plus d'Internet. Et, ce qui nous intéresse ici, si le DNS vous ment
sur les informations techniques récupérées, vous n'avez guère
d'autre choix que de le croire. (Avis aux expert·es : oui, je
simplifie. J'ai indiqué quelques ressources plus complètes à la fin
de cet article.)
Votre machine (ordinateur, ordiphone,
brosse à dents connectée) fait des requêtes DNS pour vous et elle
les fait à un serveur nommé résolveur
DNS. C'est une machine en général gérée par l'organisation
qui vous fournit l'accès à l'Internet. Normalement, en l'absence de
« DNS menteur », votre résolveur ne fabrique pas d'information, il
se contente de vous transmettre ce qu'il a appris d'une autre
famille de serveurs DNS, les serveurs faisant
autorité. Ceux-ci sont gérés par diverses organisations, par
exemple les serveurs faisant autorité pour
cnrs.fr sont gérés par le CNRS, alors que ceux faisant autorité pour
sephora.fr sont gérés par l'hébergeur
Akamai.
Donc, normalement, lorsque vous voulez envoyer du courrier à
QuelqUn@cnrs.fr, une machine va demander à un
résolveur DNS quel est le serveur de messagerie du CNRS et cette
réponse viendra des serveurs faisant autorité pour
cnrs.fr. Mais ça, c'est le comportement
normal. Or, puisque presque toute interaction sur l'Internet
commence par un appel au DNS, un certain nombre de gens se sont dit
qu'ils pouvaient utiliser ce qui était conçu comme un service
technique en outil de contrôle. Après tout, qui
contrôle le résolveur, contrôle la quasi-entièreté du vécu de
l'utilisateurice.
Un « DNS menteur » ou, plus rigoureusement, un « résolveur DNS menteur » est
donc un résolveur qui, au lieu de relayer sincèrement les réponses
des serveurs faisant autorité, invente des réponses, en général,
dans le but de bloquer l'accès à un service Internet.
Notez bien que les résolveurs DNS menteurs ne sont pas tous
pareils. Ils diffèrent par :
La raison du mensonge : cela peut être la censure
étatique, la censure au profit des ayant-droits, le blocage des
publicités, le blocage de l'accès à des services malveillants,
etc,la nature de l'entité qui décide : le résolveur menteur a pu
être configuré pour mentir par l'utilisateurice, par quelqu'un
agissant sur demande de l'utilisateurice ou par un tiers (par
exemple dans le cas de la censure).
Vous noterez donc que « résolveur DNS menteur » est une simple
description factuelle, les motivations et les acteurs étant
variés. Des exemples d'utilisation pour la censure sont communs en
Europe. Au moment de l'écriture de cet article, le gouvernement
français a annoncé son intention de pouvoir bloquer les
réseaux sociaux sur simple demande de sa
part, et, si cela se fait, ce sera sans doute via des résolveurs DNS
menteurs. (D'autres pays dans le monde utilisent d'autres techniques
de censure de l'Internet.) Si vous voulez par contre un exemple dans
le domaine du blocage de ces insupportables (et
dangereuses) publicités , le système Pi-hole est un résolveur configuré pour
mentir sur les noms de domaine utilisés par les services de
publicité.
On fait souvent remarquer que, comme technique de censure, le
résolveur DNS menteur n'est pas efficace car il est toujours
possible de changer de résolveur. C'est techniquement exact mais il
y a deux limites :
L'opération est souvent plus complexe qu'il ne parait, par
exemple certains FAI, comme Orange, ne
permettent pas cette opération sur leur
box. OK, on peut
toujours y arriver mais tout le monde n'a pas forcément envie de
se lancer dans ce genre de manipulations. (Si vous n'êtes pas
technicien·ne et qu'un technicien prétentieux vous affirme que
c'est trivial à faire, ne le croyez
pas.)Et, surtout, il n'est pas normal que l'accès à l'information
soit limité aux citoyen·nes qui ont la connaissance de la
technique.
(Oui, je sais, on peut aussi utiliser un VPN.)
Le reste de cet article est consacré à un certain nombre de
détails, en général de nature technique.
D'abord, que se passe-t-il précisément quand un résolveur vous
ment. Essayons avec le domaine
tarjetarojatvlive.net. Ironiquement, le site
Web ne marche plus (il semble rediriger vers des choses assez
louches, ne l'essayez pas) mais, à une époque, une décision de
justice au profit des ayant-droits exigeait sa censure. Avec les
résolveurs de Free :
>HEADER<<- opcode: QUERY, status: NOERROR, id: 35658
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags: do; udp: 512
;; QUESTION SECTION:
;tarjetarojatvlive.net. IN A
;; ANSWER SECTION:
tarjetarojatvlive.net. 600 IN A 127.0.0.1
;; Query time: 5 msec
;; SERVER: 212.27.40.240#53(212.27.40.240) (UDP)
;; WHEN: Wed Oct 28 16:26:09 CET 2026
;; MSG SIZE rcvd: 66
]]>
La réponse est clairement mensongère, l'adresse127.0.0.1 étant
l'adresse locale de la machine. (Les vraies adresses sont
172.104.149.86 et quelques autres.)
Ensuite, comment savoir si le résolveur que vous utilisez ment ?
Une solution possible est évidemment de lire sa documentation mais,
par exemple, en France, je ne connais aucun FAI qui documente
les censures pratiquées. Il existe une solution technique pour que
le résolveur indique qu'il a menti, les EDE (Extended DNS
Error), normalisées dans le
mais, là encore, je ne connais pas de FAI français qui les utilise
(comme vous le voyez dans la réponse de Free ci-dessus). Par contre,
Google Public DNS le fait. Regardons avec
dig :
>HEADER<<- opcode: QUERY, status: REFUSED, id: 65388
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1
;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
; EDE: 16 (Censored): (The requested domain is subject to a judicial injunction or other governmental blocking order for FR (ISO country code). To learn more about this specific removal, please visit https://lumendatabase.org/notices/41939614.)
;; QUESTION SECTION:
;tarjetarojatvlive.net. IN A
;; Query time: 6 msec
;; SERVER: 8.8.8.8#53(8.8.8.8) (UDP)
;; WHEN: Wed Oct 28 16:22:46 CET 2026
;; MSG SIZE rcvd: 276
]]>
Il ne s'agit pas réellement d'un résolveur DNS menteur car Google a
été franc : le domaine est censuré (code EDE 16) et Google renvoie
même à la
page Lumen décrivant ce cas. Mais le résultat va être le même
pour l'utilisateurice, simplement plus clair. D'ailleurs, je ne sais
pas pourquoi Free, dans l'exemple plus haut, renvoie une adresse
bidon (le 127.0.0.1) au lieu d'un code REFUSED
(comme Google) ou à la rigueur NXDOMAIN (indiquant que le domaine
n'existe pas). Certains résolveurs DNS menteurs renvoient une
adresse IP qui est celle d'un serveur Web contenant des explications
mais c'est la pire solution de toutes, par exemple pour la vie privée.
La censure dépend évidemment du pays et, pour étudier la censure
dans d'autres pays que le vôtre, vous pouvez utiliser, par exemple,
les
sondes RIPE Atlas (attention toutefois aux questions
éthiques).
J'ai dit qu'on pouvait toujours (plus ou moins facilement)
changer de résolveur. Je ne vais pas donner de liste de résolveurs,
car, dès qu'ils sont largement utilisés, ils deviennent des cibles
pour la censure. Il faut au contraire, dans ce cas comme dans
beaucoup, plein de résolveurs un peu partout. (Et les résolveurs
publics des GAFA sont évidemment à éviter.)
Et quelques lectures supplémentaires :
Sur ce blog, le premier article
que j'avais fait sur le sujet en 2009, un article plus détaillé sur le cas de la
censure administrative française (ce n'est hélas pas un
sujet nouveau), un autre exemple
français, cette fois sur demande des ayant-droits, un
article sur le fait qu'un résolveur qui refuse de mentir n'a
parfois d'autre choix que
d'arrêter de servir un pays et un article sur la possibilité d'avoir son propre
résolveur, qu'on contrôle.L'IETF a produit le pour discuter du problème du blocage et du filtrage
sur l'Internet (voir aussi le ). Puisqu'on parle de l'IETF, notons que cette
organisation a renoncé à normaliser le système RPZ qui
sert à configurer
certains résolveurs DNS menteurs.La question
des résolveurs DNS menteurs est ancienne et le Conseil
Scientifique de l'Afnic avait fait
une
excellente étude sur la question, en 2013.L'article de Wikipédia sur le sujet est
médiocre et ancien. Si vous avez le courage de l'améliorer, vous
pouvez copier-coller du contenu de cet article, les licences sont
compatibles.